<html>
    <body>
        <article class="article container well">
            <!-- 大型设备文章属性 -->
            <div class="hidden-xs">
        <br>
                <div class="title-article">
        <h1><a href="https://www.linuxprobe.com/chapter-08.html" title="第8章 Iptables与Firewalld防火墙。">第8章 Iptables与Firewalld防火墙。</a></h1>
                </div>
                <div class="tag-article container">
                </div>
            </div>
            <!-- 大型设备文章属性结束 -->
        
            <!-- 小型设备文章属性 -->
            <div class="visible-xs">
                <div class="title-article">
                    <h1 class="post-title"><a href="https://www.linuxprobe.com/chapter-08.html" title="第8章 Iptables与Firewalld防火墙。">第8章 Iptables与Firewalld防火墙。</a></h1>
                </div>
            </div>
            <!-- 小型设备文章属性结束 -->
        <a href="https://www.linuxprobe.com/training"><img src="https://www.linuxprobe.com/imgs/peixun.jpg"></a>
        <p style="text-align: center;"><span style="font-size: 14pt;"><span style="color: #008000;"><strong><span style="text-decoration: underline;">Linux系统技术交流QQ群</span>（<span style="color: #ff0000; font-size: 18pt;">3682536</span>）<span style="color: #800080;">验证问题答案：<span style="text-decoration: underline;">刘遄</span></span></strong></span><a target="_blank" href="//shang.qq.com/wpa/qunwpa?idkey=20154bc0a93c5fdad1590aa28a683f3d5d0a2c3c4b327fa4f953561d53a815c1"><img border="0" src="https://www.linuxprobe.com/wp-content/uploads/2018/02/QQ群.png" alt="<Linux就该这>>么学>Q群" title="<Linux就该这么学>Q群"></a></span></p>
        <div class="centent-article fonts">
                <div class="post-content"><p style="text-align: center;"><span style="color: #008000;"><b>《<a href="https://www.linuxprobe.com/" title="linux" target="_blank">Linux</a>就该这么学》最新正式版已出版上市，同学们可在线上<a href="https://item.jd.com/12269260.html">京东网</a>、<a href="http://product.dangdang.com/25188146.html">当当网</a>、<a href="https://s.click.taobao.com/gvt8SQw">淘宝网</a>及<a href="https://www.amazon.cn/Linux%E5%B0%B1%E8%AF%A5%E8%BF%99%E4%B9%88%E5%AD%A6-%E5%88%98%E9%81%84/dp/B0776K3ZXC">亚马逊</a>等电商平台购买。</b></span></p>
        <p style="text-align: center;"><span style="color: #008000;"><b>*亦可就近在新华书店购买*</b></span></p>
        <p><span style="color: #800080;"><strong>章节简述：</strong></span></p>
        <p>保障数据的安全性是继保障数据的可用性之后最为重要的一项工作。防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。考虑到大家还不了解RHEL 7中新增的firewalld防火墙与先前版本中iptables防火墙之间的区别，<a href="https://www.linuxprobe.com/" title="刘遄" target="_blank">刘遄</a>老师决定先带领读者从理论层面和实际层面正确地认识在这两款防火墙之间的关系。</p>
        <p>本章将分别使用iptables、firewall-cmd、firewall-config和TCP Wrappers等防火墙策略配置服务来完成数十个根据真实工作需求而设计的防火墙策略配置实验。在学习完这些实验之后，各位读者不仅可以熟练地过滤请求的流量，还可以基于服务程序的名称对流量进行允许和拒绝操作，确保<a href="https://www.linuxprobe.com/" title="linux系统" target="_blank">Linux系统</a>的安全性万无一失。</p>
        <div id="toc_container" class="toc_light_blue no_bullets"><p class="toc_title">本章目录结构 <span class="toc_toggle">[<a href="#">收起</a>]</span></p><ul class="toc_list"><li><a href="#81">8.1 防火墙管理工具</a></li><li><a href="#82_Iptables">8.2 Iptables</a><ul><li><a href="#821">8.2.1 策略与规则链</a></li><li><a href="#822">8.2.2 基本的命令参数</a></li></ul></li><li><a href="#83_Firewalld">8.3 Firewalld</a><ul><li><a href="#831">8.3.1 终端管理工具</a></li><li><a href="#832">8.3.2 图形管理工具</a></li></ul></li><li><a href="#84">8.4 服务的访问控制列表</a></li></ul></div>
        <h5><span id="81"><span style="color: #008000;"><strong>8.1 防火墙管理工具</strong></span></span></h5>
        <p>众所周知，相较于企业内网，外部的公网环境更加恶劣，罪恶丛生。在公网与企业内网之间充当保护屏障的防火墙（见图8-1）虽然有软件或硬件之分，但主要功能都是依据策略对穿越防火墙自身的流量进行过滤。防火墙策略可以基于流量的源目地址、端口号、协议、应用等信息来定制，然后防火墙使用预先定制的策略规则监控出入的流量，若流量与某一条策略规则相匹配，则执行相应的处理，反之则丢弃。这样一来，就可以保证仅有合法的流量在企业内网和外部公网之间流动了。</p>
        <p><img class=" size-full wp-image-745 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/防火墙拓扑.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="548" height="149" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/防火墙拓扑.png 548w, https://www.linuxprobe.com/wp-content/uploads/2015/03/防火墙拓扑-300x82.png 300w" sizes="(max-width: 548px) 100vw, 548px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></p>
        <p style="text-align: center;">图8-1&nbsp; 防火墙作为公网与内网之间的保护屏障</p>
        <p>在RHEL 7系统中，firewalld防火墙取代了iptables防火墙。对于接触<a href="https://www.linuxprobe.com/">Linux系统</a>比较早或学习过RHEL 6系统的读者来说，当他们发现曾经掌握的知识在RHEL 7中不再适用，需要全新学习firewalld时，难免会有抵触心理。其实，iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具而已，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则是把配置好的防火墙策略交由内核层面的nftables包过滤框架来处理。换句话说，当前在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略，我们只需要配置妥当其中的一个就足够了。虽然这些工具各有优劣，但它们在防火墙策略的配置思路上是保持一致的。大家甚至可以不用完全掌握本章介绍的内容，只要在这多个防火墙管理工具中任选一款并将其学透，就足以满足日常的工作需求了。</p>
        <h5><span id="82_Iptables"><span style="color: #008000;"><strong>8.2 Iptables</strong></span></span></h5>
        <p>在早期的Linux系统中，默认使用的是iptables防火墙管理服务来配置防火墙。尽管新型的firewalld防火墙管理服务已经被投入使用多年，但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。考虑到iptables在当前生产环境中还具有顽强的生命力，以及为了使大家在求职面试过程中被问到iptables的相关知识时能胸有成竹，<a href="https://www.linuxprobe.com/" title="刘遄" target="_blank">刘遄</a>老师觉得还是有必要在本书中好好地讲解一下这项技术。更何况前文也提到，各个防火墙管理工具的配置思路是一致的，在掌握了iptables后再学习其他防火墙管理工具时，也有借鉴意义。</p>
        <h6><span id="821"><span style="color: #008000;"><strong>8.2.1 策略与规则链</strong></span></span></h6>
        <p>防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用。</p>
        <p>iptables服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类，具体如下：</p>
        <blockquote><p>在进行路由选择前处理数据包（PREROUTING）；</p>
        <p>处理流入的数据包（INPUT）；</p>
        <p>处理流出的数据包（OUTPUT）；</p>
        <p>处理转发的数据包（FORWARD）；</p>
        <p>在进行路由选择后处理数据包（POSTROUTING）。</p></blockquote>
        <p>一般来说，从内网向外网发送的流量一般都是可控且良性的，因此我们使用最多的就是INPUT规则链，该规则链可以增大黑客人员从外网入侵内网的难度。</p>
        <p>比如在您居住的社区内，物业管理公司有两条规定：禁止小商小贩进入社区；各种车辆在进入社区时都要登记。显而易见，这两条规定应该是用于社区的正门的（流量必须经过的地方），而不是每家每户的防盗门上。根据前面提到的防火墙策略的匹配顺序，可能会存在多种情况。比如，来访人员是小商小贩，则直接会被物业公司的保安拒之门外，也就无需再对车辆进行登记。如果来访人员乘坐一辆汽车进入社区正门，则“禁止小商小贩进入社区”的第一条规则就没有被匹配到，因此按照顺序匹配第二条策略，即需要对车辆进行登记。如果是社区居民要进入正门，则这两条规定都不会匹配到，因此会执行默认的放行策略。</p>
        <p>但是，仅有策略规则还不能保证社区的安全，保安还应该知道采用什么样的动作来处理这些匹配的流量，比如“允许”、“拒绝”、“登记”、“不理它”。这些动作对应到iptables服务的术语中分别是ACCEPT（允许流量通过）、REJECT（拒绝流量通过）、LOG（记录日志信息）、DROP（拒绝流量通过）。“允许流量通过”和“记录日志信息”都比较好理解，这里需要着重讲解的是REJECT和DROP的不同点。就DROP来说，它是直接将流量丢弃而且不响应；REJECT则会在拒绝流量后再回复一条“您的信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。</p>
        <p>我们来举一个例子，让各位读者更直观地理解这两个拒绝动作的不同之处。比如有一天您正在家里看电视，突然听到有人敲门，您透过防盗门的猫眼一看是推销商品的，便会在不需要的情况下开门并拒绝他们（REJECT）。但如果您看到的是债主带了十几个小弟来讨债，此时不仅要拒绝开门，还要默不作声，伪装成自己不在家的样子（DROP）。</p>
        <p>当把Linux系统中的防火墙策略设置为REJECT拒绝动作后，流量发送方会看到端口不可达的响应：</p>
        <pre>[root@linuxprobe ~]# ping -c 4 192.168.10.10
        PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data.
        From 192.168.10.10 icmp_seq=1 Destination Port Unreachable
        From 192.168.10.10 icmp_seq=2 Destination Port Unreachable
        From 192.168.10.10 icmp_seq=3 Destination Port Unreachable
        From 192.168.10.10 icmp_seq=4 Destination Port Unreachable
        --- 192.168.10.10 ping statistics ---
        4 packets transmitted, 0 received, +4 errors, 100% packet loss, time 3002ms
        </pre>
        <p>而把Linux系统中的防火墙策略修改成DROP拒绝动作后，流量发送方会看到响应超时的提醒。但是流量发送方无法判断流量是被拒绝，还是接收方主机当前不在线：</p>
        <pre>[root@linuxprobe ~]# ping -c 4 192.168.10.10
        PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data.
        
        --- 192.168.10.10 ping statistics ---
        4 packets transmitted, 0 received, 100% packet loss, time 3000ms
        </pre>
        <h6><span id="822"><span style="color: #008000;"><strong>8.2.2 基本的命令参数</strong></span></span></h6>
        <p>iptables是一款基于命令行的防火墙策略管理工具，具有大量参数，学习难度较大。好在对于日常的防火墙策略配置来讲，大家无需深入了解诸如“四表五链”的理论概念，只需要掌握常用的参数并做到灵活搭配即可，这就足以应对日常工作了。</p>
        <p>iptables命令可以根据流量的源地址、目的地址、传输协议、服务类型等信息进行匹配，一旦匹配成功，iptables就会根据策略规则所预设的动作来处理这些流量。另外，再次提醒一下，防火墙策略规则的匹配顺序是从上至下的，因此要把较为严格、优先级较高的策略规则放到前面，以免发生错误。表8-1总结归纳了常用的iptables命令参数。再次强调，我们无需死记硬背这些参数，只需借助下面的实验来理解掌握即可。</p>
        <p>表8-1&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; iptables中常用的参数以及作用</p>
        <table id="tablepress-40" class="tablepress tablepress-id-40">
        <tbody class="row-hover">
        <tr class="row-1 odd">
        <td class="column-1">参数</td>
        <td class="column-2">作用</td>
        </tr>
        <tr class="row-2 even">
        <td class="column-1">-P</td>
        <td class="column-2">设置默认策略</td>
        </tr>
        <tr class="row-3 odd">
        <td class="column-1">-F</td>
        <td class="column-2">清空规则链</td>
        </tr>
        <tr class="row-4 even">
        <td class="column-1">-L</td>
        <td class="column-2">查看规则链</td>
        </tr>
        <tr class="row-5 odd">
        <td class="column-1">-A</td>
        <td class="column-2">在规则链的末尾加入新规则</td>
        </tr>
        <tr class="row-6 even">
        <td class="column-1">-I num</td>
        <td class="column-2">在规则链的头部加入新规则</td>
        </tr>
        <tr class="row-7 odd">
        <td class="column-1">-D num</td>
        <td class="column-2">删除某一条规则</td>
        </tr>
        <tr class="row-8 even">
        <td class="column-1">-s</td>
        <td class="column-2">匹配来源地址IP/MASK，加叹号“!”表示除这个IP外</td>
        </tr>
        <tr class="row-9 odd">
        <td class="column-1">-d</td>
        <td class="column-2">匹配目标地址</td>
        </tr>
        <tr class="row-10 even">
        <td class="column-1">-i 网卡名称</td>
        <td class="column-2">匹配从这块网卡流入的数据</td>
        </tr>
        <tr class="row-11 odd">
        <td class="column-1">-o 网卡名称</td>
        <td class="column-2">匹配从这块网卡流出的数据</td>
        </tr>
        <tr class="row-12 even">
        <td class="column-1">-p</td>
        <td class="column-2">匹配协议，如TCP、UDP、ICMP</td>
        </tr>
        <tr class="row-13 odd">
        <td class="column-1">--dport num</td>
        <td class="column-2">匹配目标端口号</td>
        </tr>
        <tr class="row-14 even">
        <td class="column-1">--sport num</td>
        <td class="column-2">匹配来源端口号</td>
        </tr>
        </tbody>
        </table>
        <p><!-- #tablepress-40 from cache --></p>
        <p><strong>在iptables命令后添加-L参数查看已有的防火墙规则链：</strong></p>
        <pre>[root@linuxprobe ~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED
        ACCEPT all -- anywhere anywhere 
        INPUT_direct all -- anywhere anywhere 
        INPUT_ZONES_SOURCE all -- anywhere anywhere 
        INPUT_ZONES all -- anywhere anywhere 
        ACCEPT icmp -- anywhere anywhere 
        REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
        ………………省略部分输出信息………………</pre>
        <p><strong>在iptables命令后添加-F参数清空已有的防火墙规则链：</strong></p>
        <pre>[root@linuxprobe ~]# iptables -F
        [root@linuxprobe ~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        ………………省略部分输出信息………………</pre>
        <p><strong>把INPUT规则链的默认策略设置为拒绝：</strong></p>
        <pre>[root@linuxprobe ~]# iptables -P INPUT DROP
        [root@linuxprobe&nbsp;~]# iptables -L
        Chain INPUT (policy <strong>DROP</strong>)
        target prot opt source destination 
        …………省略部分输出信息………………</pre>
        <p>如前面所提到的防火墙策略设置无非有两种方式，一种是“通”，一种是“堵”，当把INPUT链设置为默认拒绝后，就要往里面写入允许策略了，否则所有流入的数据包都会被默认拒绝掉，同学们需要留意规则链的默认策略拒绝动作只能是DROP，而不能是REJECT。</p>
        <p><strong>向INPUT链中添加允许ICMP流量进入的策略规则：</strong></p>
        <p>在日常运维工作中，经常会使用ping命令来检查对方主机是否在线，而向防火墙的INPUT规则链中添加一条允许ICMP流量进入的策略规则就默认允许了这种ping命令检测行为。</p>
        <pre>[root@linuxprobe&nbsp;~]#&nbsp;iptables&nbsp;-I&nbsp;INPUT&nbsp;-p&nbsp;icmp&nbsp;-j&nbsp;ACCEPT
        [root@linuxprobe&nbsp;~]#&nbsp;ping&nbsp;-c&nbsp;4&nbsp;192.168.10.10
        PING&nbsp;192.168.10.10&nbsp;(192.168.10.10)&nbsp;56(84)&nbsp;bytes&nbsp;of&nbsp;data.
        64&nbsp;bytes&nbsp;from&nbsp;192.168.10.10:&nbsp;icmp_seq=1&nbsp;ttl=64&nbsp;time=0.156&nbsp;ms
        64&nbsp;bytes&nbsp;from&nbsp;192.168.10.10:&nbsp;icmp_seq=2&nbsp;ttl=64&nbsp;time=0.117&nbsp;ms
        64&nbsp;bytes&nbsp;from&nbsp;192.168.10.10:&nbsp;icmp_seq=3&nbsp;ttl=64&nbsp;time=0.099&nbsp;ms
        64&nbsp;bytes&nbsp;from&nbsp;192.168.10.10:&nbsp;icmp_seq=4&nbsp;ttl=64&nbsp;time=0.090&nbsp;ms
        ---&nbsp;192.168.10.10&nbsp;ping&nbsp;statistics&nbsp;---
        4&nbsp;packets&nbsp;transmitted,&nbsp;4&nbsp;received,&nbsp;0%&nbsp;packet&nbsp;loss,&nbsp;time&nbsp;2999ms
        rtt&nbsp;min/avg/max/mdev&nbsp;=&nbsp;0.090/0.115/0.156/0.027&nbsp;ms</pre>
        <p><strong>删除INPUT规则链中刚刚加入的那条策略（允许ICMP流量），并把默认策略设置为允许：</strong></p>
        <pre>[root@linuxprobe ~]# iptables -D INPUT 1
        [root@linuxprobe ~]# iptables -P INPUT ACCEPT
        [root@linuxprobe ~]# iptables -L
        Chain INPUT (policy <strong>ACCEPT</strong>)
        target prot opt source destination
        ………………省略部分输出信息………………</pre>
        <p><strong>将INPUT规则链设置为只允许指定网段的主机访问本机的22端口，拒绝来自其他所有主机的流量</strong>：</p>
        <pre>[root@linuxprobe ~]# iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j ACCEPT
        [root@linuxprobe ~]# iptables -A INPUT -p tcp --dport 22 -j REJECT
        [root@linuxprobe&nbsp;~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh
        REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
        ………………省略部分输出信息………………</pre>
        <p>再次重申，防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。另外，这里提到的22号端口是ssh服务使用的（有关ssh服务，请见下一章），刘遄老师先在这里挖坑，等大家学完第9章后可再验证这个实验的效果。</p>
        <p>在设置完上述INPUT规则链之后，我们使用IP地址在192.168.10.0/24网段内的主机访问服务器（即前面提到的设置了INPUT规则链的主机）的22端口，效果如下：</p>
        <pre>[root@Client A ~]# ssh 192.168.10.10
        The authenticity of host '192.168.10.10 (192.168.10.10)' can't be established.
        ECDSA key fingerprint is 70:3b:5d:37:96:7b:2e:a5:28:0d:7e:dc:47:6a:fe:5c.
        Are you sure you want to continue connecting (yes/no)? yes
        Warning: Permanently added '192.168.10.10' (ECDSA) to the list of known hosts.
        root@192.168.10.10's password: 
        Last login: Sun Feb 12 01:50:25 2017
        [root@Client A ~]#</pre>
        <p>然后，我们再使用IP地址在192.168.20.0/24网段内的主机访问服务器的22端口（虽网段不同，但已确认可以相互通信），效果如下，就会提示连接请求被拒绝了（Connection&nbsp;failed）：</p>
        <pre>[root@Client B ~]# ssh 192.168.10.10
        Connecting to 192.168.10.10:22...
        Could not connect to '192.168.10.10' (port 22): Connection failed.</pre>
        <p><strong>向INPUT规则链中添加拒绝所有人访问本机12345端口的策略规则</strong>：</p>
        <pre>[root@linuxprobe ~]# iptables -I INPUT -p tcp --dport 12345 -j REJECT
        [root@linuxprobe ~]# iptables -I INPUT -p udp --dport 12345 -j REJECT
        [root@linuxprobe ~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable
        REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable
        ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh
        REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
        ………………省略部分输出信息………………</pre>
        <p><strong>向INPUT规则链中添加拒绝192.168.10.5主机访问本机80端口（Web服务）的策略规则</strong>：</p>
        <pre>[root@linuxprobe ~]# iptables -I INPUT -p tcp -s 192.168.10.5 --dport 80 -j REJECT
        [root@linuxprobe ~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        REJECT tcp -- 192.168.10.5 anywhere tcp dpt:http reject-with icmp-port-unreachable
        REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable
        REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable
        ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh
        REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
        ………………省略部分输出信息………………</pre>
        <p><strong>向INPUT规则链中添加拒绝所有主机访问本机1000</strong>～<strong>1024</strong><strong>端口的策略规则</strong>：</p>
        <pre class="cnblogs_code">[root@linuxprobe ~]# iptables -A INPUT -p tcp --dport 1000:1024 -j REJECT
        [root@linuxprobe ~]# iptables -A INPUT -p udp --dport 1000:1024 -j REJECT
        [root@linuxprobe ~]# iptables -L
        Chain INPUT (policy ACCEPT)
        target prot opt source destination 
        REJECT tcp -- 192.168.10.5 anywhere tcp dpt:http reject-with icmp-port-unreachable
        REJECT udp -- anywhere anywhere udp dpt:italk reject-with icmp-port-unreachable
        REJECT tcp -- anywhere anywhere tcp dpt:italk reject-with icmp-port-unreachable
        ACCEPT tcp -- 192.168.10.0/24 anywhere tcp dpt:ssh
        REJECT tcp -- anywhere anywhere tcp dpt:ssh reject-with icmp-port-unreachable
        REJECT tcp -- anywhere anywhere tcp dpts:cadlock2:1024 reject-with icmp-port-unreachable
        REJECT udp -- anywhere anywhere udp dpts:cadlock2:1024 reject-with icmp-port-unreachable
        ………………省略部分输出信息………………</pre>
        <p>有关iptables命令的知识讲解到此就结束了，大家是不是意犹未尽？考虑到Linux防火墙的发展趋势，大家只要能把上面的实例吸收消化，就可以完全搞定日常的iptables配置工作了。但是请特别注意，使用iptables命令配置的防火墙规则默认会在系统下一次重启时失效，如果想让配置的防火墙策略永久生效，还要执行保存命令：</p>
        <pre>[root@linuxprobe ~]# service iptables save
        iptables: Saving firewall rules to /etc/sysconfig/iptables: <strong>[ OK ]</strong></pre>
        <p><span style="color: #800080;"><strong>出现问题?大胆提问!</strong></span></p>
        <blockquote><p>因读者们硬件不同或操作错误都可能导致实验配置出错，请耐心再仔细看看操作步骤吧，不要气馁~</p>
        <p>Linux技术交流请加A群：560843(<strong><span style="color: #008000;">满</span></strong>)，B群：340829(<span style="color: #008000;">推荐</span>)，C群：463590（<strong><span style="color: #008000;">推荐</span></strong>），<a href="https://www.linuxprobe.com/club">点此查看全国群</a>。</p>
        <p>*本群特色：通过口令验证确保每一个群员都是《Linux就该这么学》的读者，答疑更有针对性，不定期免费领取定制礼品。</p></blockquote>
        <h5><span id="83_Firewalld"><strong><span style="color: #008000;">8.3 Firewalld</span></strong></span></h5>
        <p>RHEL 7系统中集成了多款防火墙管理工具，其中firewalld（Dynamic Firewall Manager of Linux systems，Linux系统的动态防火墙管理器）服务是默认的防火墙配置管理工具，它拥有基于CLI（命令行界面）和基于GUI（图形用户界面）的两种管理方式。</p>
        <p>相较于传统的防火墙管理配置工具，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。例如，我们有一台笔记本电脑，每天都要在办公室、咖啡厅和家里使用。按常理来讲，这三者的安全性按照由高到低的顺序来排列，应该是家庭、公司办公室、咖啡厅。当前，我们希望为这台笔记本电脑指定如下防火墙策略规则：在家中允许访问所有服务；在办公室内仅允许访问文件共享服务；在咖啡厅仅允许上网浏览。在以往，我们需要频繁地手动设置防火墙策略规则，而现在只需要预设好区域集合，然后只需轻点鼠标就可以自动切换了，从而极大地提升了防火墙策略的应用效率。firewalld中常见的区域名称（默认为public）以及相应的策略规则如表8-2所示。</p>
        <p>表8-2&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; firewalld中常用的区域名称及策略规则</p>
        <table id="tablepress-87" class="tablepress tablepress-id-87">
        <tbody class="row-hover">
        <tr class="row-1 odd">
        <td class="column-1">区域</td>
        <td class="column-2">默认规则策略</td>
        </tr>
        <tr class="row-2 even">
        <td class="column-1">trusted</td>
        <td class="column-2">允许所有的数据包</td>
        </tr>
        <tr class="row-3 odd">
        <td class="column-1">home</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、mdns、ipp-client、amba-client与dhcpv6-client服务相关，则允许流量</td>
        </tr>
        <tr class="row-4 even">
        <td class="column-1">internal</td>
        <td class="column-2">等同于home区域</td>
        </tr>
        <tr class="row-5 odd">
        <td class="column-1">work</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量数相关；而如果流量与ssh、ipp-client与dhcpv6-client服务相关，则允许流量</td>
        </tr>
        <tr class="row-6 even">
        <td class="column-1">public</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh、dhcpv6-client服务相关，则允许流量</td>
        </tr>
        <tr class="row-7 odd">
        <td class="column-1">external</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td>
        </tr>
        <tr class="row-8 even">
        <td class="column-1">dmz</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关；而如果流量与ssh服务相关，则允许流量</td>
        </tr>
        <tr class="row-9 odd">
        <td class="column-1">block</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关</td>
        </tr>
        <tr class="row-10 even">
        <td class="column-1">drop</td>
        <td class="column-2">拒绝流入的流量，除非与流出的流量相关</td>
        </tr>
        </tbody>
        </table>
        <p><!-- #tablepress-87 from cache --></p>
        <h6><span id="831"><span style="color: #008000;"><strong>8.3.1 终端管理工具</strong></span></span></h6>
        <p>第2章在讲解<a href="https://www.linuxprobe.com/">Linux命令</a>时曾经听到，命令行终端是一种极富效率的工作方式，firewall-cmd是firewalld防火墙配置管理工具的CLI（命令行界面）版本。它的参数一般都是以“长格式”来提供的，大家不要一听到长格式就头大，因为RHEL 7系统支持部分命令的参数补齐，其中就包含这条命令（很酷吧）。也就是说，现在除了能用Tab键自动补齐命令或文件名等内容之外，还可以用Tab键来补齐表8-3中所示的长格式参数了（这太棒了）。</p>
        <p>表8-3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; firewall-cmd命令中使用的参数以及作用</p>
        <table id="tablepress-88" class="tablepress tablepress-id-88">
        <tbody class="row-hover">
        <tr class="row-1 odd">
        <td class="column-1">参数</td>
        <td class="column-2">作用</td>
        </tr>
        <tr class="row-2 even">
        <td class="column-1">--get-default-zone</td>
        <td class="column-2">查询默认的区域名称</td>
        </tr>
        <tr class="row-3 odd">
        <td class="column-1">--set-default-zone=&lt;区域名称&gt;</td>
        <td class="column-2">设置默认的区域，使其永久生效</td>
        </tr>
        <tr class="row-4 even">
        <td class="column-1">--get-zones</td>
        <td class="column-2">显示可用的区域</td>
        </tr>
        <tr class="row-5 odd">
        <td class="column-1">--get-services</td>
        <td class="column-2">显示预先定义的服务</td>
        </tr>
        <tr class="row-6 even">
        <td class="column-1">--get-active-zones</td>
        <td class="column-2">显示当前正在使用的区域与网卡名称</td>
        </tr>
        <tr class="row-7 odd">
        <td class="column-1">--add-source=</td>
        <td class="column-2">将源自此IP或子网的流量导向指定的区域</td>
        </tr>
        <tr class="row-8 even">
        <td class="column-1">--remove-source=<cidr></cidr></td>
        <td class="column-2">不再将源自此IP或子网的流量导向某个指定区域</td>
        </tr>
        <tr class="row-9 odd">
        <td class="column-1">--add-interface=&lt;网卡名称&gt;</td>
        <td class="column-2">将源自该网卡的所有流量都导向某个指定区域</td>
        </tr>
        <tr class="row-10 even">
        <td class="column-1">--change-interface=&lt;网卡名称&gt;</td>
        <td class="column-2">将某个网卡与区域进行关联</td>
        </tr>
        <tr class="row-11 odd">
        <td class="column-1">--list-all</td>
        <td class="column-2">显示当前区域的网卡配置参数、资源、端口以及服务等信息</td>
        </tr>
        <tr class="row-12 even">
        <td class="column-1">--list-all-zones</td>
        <td class="column-2">显示所有区域的网卡配置参数、资源、端口以及服务等信息</td>
        </tr>
        <tr class="row-13 odd">
        <td class="column-1">--add-service=&lt;服务名&gt;</td>
        <td class="column-2">设置默认区域允许该服务的流量</td>
        </tr>
        <tr class="row-14 even">
        <td class="column-1">--add-port=&lt;端口号/协议&gt;</td>
        <td class="column-2">设置默认区域允许该端口的流量</td>
        </tr>
        <tr class="row-15 odd">
        <td class="column-1">--remove-service=&lt;服务名&gt;</td>
        <td class="column-2">设置默认区域不再允许该服务的流量</td>
        </tr>
        <tr class="row-16 even">
        <td class="column-1">--remove-port=&lt;端口号/协议&gt;</td>
        <td class="column-2">设置默认区域不再允许该端口的流量</td>
        </tr>
        <tr class="row-17 odd">
        <td class="column-1">--reload</td>
        <td class="column-2">让“永久生效”的配置规则立即生效，并覆盖当前的配置规则</td>
        </tr>
        <tr class="row-18 even">
        <td class="column-1">--panic-on</td>
        <td class="column-2">开启应急状况模式</td>
        </tr>
        <tr class="row-19 odd">
        <td class="column-1">--panic-off</td>
        <td class="column-2">关闭应急状况模式</td>
        </tr>
        </tbody>
        </table>
        <p><!-- #tablepress-88 from cache --></p>
        <p>与Linux系统中其他的防火墙策略配置工具一样，使用firewalld配置的防火墙策略默认为运行时（Runtime）模式，又称为当前生效模式，而且随着系统的重启会失效。如果想让配置策略一直存在，就需要使用永久（Permanent）模式了，方法就是在用firewall-cmd命令正常设置防火墙策略时添加--permanent参数，这样配置的防火墙策略就可以永久生效了。但是，永久生效模式有一个“不近人情”的特点，就是使用它设置的策略只有在系统重启之后才能自动生效。如果想让配置的策略立即生效，需要手动执行firewall-cmd --reload命令。</p>
        <p>接下来的实验都很简单，但是提醒大家一定要仔细查看刘遄老师使用的是Runtime模式还是Permanent模式。如果不关注这个细节，就算是正确配置了防火墙策略，也可能无法达到预期的效果。</p>
        <p>查看firewalld服务当前所使用的区域：</p>
        <pre>[root@linuxprobe ~]#&nbsp;firewall-cmd --get-default-zone
        public</pre>
        <p>查询eno16777728网卡在firewalld服务中的区域：</p>
        <pre>[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
        public</pre>
        <p>把firewalld服务中eno16777728网卡的默认区域修改为external，并在系统重启后生效。分别查看当前与永久模式下的区域名称：</p>
        <pre>[root@linuxprobe ~]# firewall-cmd --permanent --zone=external --change-interface=eno16777728
        success
        [root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
        public
        [root@linuxprobe ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777728
        external</pre>
        <p>把firewalld服务的当前默认区域设置为public：</p>
        <pre>[root@linuxprobe ~]#&nbsp;firewall-cmd --set-default-zone=public
        success
        [root@linuxprobe ~]# firewall-cmd --get-default-zone 
        public</pre>
        <p>启动/关闭firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用）：</p>
        <pre>[root@linuxprobe ~]# firewall-cmd --panic-on
        success
        [root@linuxprobe ~]# firewall-cmd --panic-off
        success</pre>
        <p>查询public区域是否允许请求SSH和HTTPS协议的流量：</p>
        <pre>[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh
        yes
        [root@linuxprobe ~]# firewall-cmd --zone=public --query-service=https
        no</pre>
        <p>把firewalld服务中请求HTTPS协议的流量设置为永久允许，并立即生效：</p>
        <pre>[root@linuxprobe ~]# firewall-cmd --zone=public --add-service=https
        success
        [root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success</pre>
        <p>把firewalld服务中请求HTTP协议的流量设置为永久拒绝，并立即生效：</p>
        <pre class="prettyprint bash">[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --remove-service=http 
        success
        [root@linuxprobe ~]# firewall-cmd --reload 
        success</pre>
        <p>把在firewalld服务中访问8080和8081端口的流量策略设置为允许，但仅限当前生效：</p>
        <pre>[root@linuxprobe ~]#&nbsp;firewall-cmd --zone=public --add-port=8080-8081/tcp
        success
        [root@linuxprobe ~]# firewall-cmd --zone=public --list-ports 
        8080-8081/tcp</pre>
        <div class="cnblogs_code_toolbar">
        <p>把原本访问本机888端口的流量转发到22端口，要且求当前和长期均有效：</p>
        <blockquote><p>流量转发命令格式为firewall-cmd --permanent --zone=<strong>&lt;区域&gt;</strong> --add-forward-port=port=&lt;源端口号&gt;:proto=<strong>&lt;协议&gt;</strong>:toport=<strong>&lt;目标端口号&gt;</strong>:toaddr=<strong>&lt;目标IP地址&gt;</strong></p></blockquote>
        <pre>[root@linuxprobe ~]# firewall-cmd --permanent --zone=<strong>public</strong> --add-forward-port=port=888:proto=<strong>tcp</strong>:toport=<strong>22</strong>:toaddr=<strong>192.168.10.10</strong>
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success</pre>
        <p>在客户端使用ssh命令尝试访问192.168.10.10主机的888端口：</p>
        <pre>[root@client A ~]# ssh -p 888 192.168.10.10
        The authenticity of host '[192.168.10.10]:888 ([192.168.10.10]:888)' can't be established.
        ECDSA key fingerprint is b8:25:88:89:5c:05:b6:dd:ef:76:63:ff:1a:54:02:1a.
        Are you sure you want to continue connecting (yes/no)? <strong>yes</strong>
        Warning: Permanently added '[192.168.10.10]:888' (ECDSA) to the list of known hosts.
        root@192.168.10.10's password:<strong>此处输入远程root管理员的密码</strong>
        Last login: Sun Jul 19 21:43:48 2017 from 192.168.10.10
        </pre>
        <p>firewalld中的富规则表示更细致、更详细的防火墙策略配置，它可以针对系统服务、端口号、源地址和目标地址等诸多信息进行更有针对性的策略配置。它的优先级在所有的防火墙策略中也是最高的。比如，我们可以在firewalld服务中配置一条富规则，使其拒绝192.168.10.0/24网段的所有用户访问本机的ssh服务（22端口）：</p>
        <pre class="prettyprint perl">[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
        success
        [root@linuxprobe ~]# firewall-cmd --reload
        success
        </pre>
        <p>在客户端使用ssh命令尝试访问192.168.10.10主机的ssh服务（22端口）：</p>
        <pre class="prettyprint perl">[root@client A ~]# ssh 192.168.10.10
        Connecting to 192.168.10.10:22...
        Could not connect to '192.168.10.10' (port 22): Connection failed.</pre>
        <h6><span id="832"><span style="color: #008000;"><strong>8.3.2 图形管理工具</strong></span></span></h6>
        <p>在各种版本的Linux系统中，几乎没有能让刘遄老师欣慰并推荐的图形化工具，但是firewall-config做到了。它是firewalld防火墙配置管理工具的GUI（图形用户界面）版本，几乎可以实现所有以命令行来执行的操作。毫不夸张的说，即使读者没有扎实的<a href="https://www.linuxprobe.com/" title="linux命令" target="_blank">Linux命令</a>基础，也完全可以通过它来妥善配置RHEL 7中的防火墙策略。firewall-config的界面如图8-2所示，其功能具体如下。</p>
        <blockquote><p><strong>1：</strong>选择运行时（Runtime）模式或永久（Permanent）模式的配置。</p>
        <p><strong>2</strong>：可选的策略集合区域列表。</p>
        <p><strong>3</strong>：常用的系统服务列表。</p>
        <p><strong>4</strong>：当前正在使用的区域。</p>
        <p><strong>5</strong>：管理当前被选中区域中的服务。</p>
        <p><strong>6</strong>：管理当前被选中区域中的端口。</p>
        <p><strong>7</strong>：开启或关闭SNAT（源地址转换协议）技术。</p>
        <p><strong>8</strong>：设置端口转发策略。</p>
        <p><strong>9</strong>：控制请求icmp服务的流量。</p>
        <p><strong>10</strong>：管理防火墙的富规则。</p>
        <p><strong>11</strong>：管理网卡设备。</p>
        <p><strong>12</strong>：被选中区域的服务，若勾选了相应服务前面的复选框，则表示允许与之相关的流量。</p>
        <p><strong>13</strong>：firewall-config工具的运行状态。</p></blockquote>
        </div>
        <div><img class="size-full wp-image-1512 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/firewall-config界面.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="871" height="634" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/firewall-config界面.png 871w, https://www.linuxprobe.com/wp-content/uploads/2015/03/firewall-config界面-300x218.png 300w" sizes="(max-width: 871px) 100vw, 871px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-2&nbsp; firewall-config的界面</p>
        <p>刘遄老师再啰嗦几句。在使用firewall-config工具配置完防火墙策略之后，无须进行二次确认，因为只要有修改内容，它就自动进行保存。下面进行动手实践环节。</p>
        <p>我们先将当前区域中请求http服务的流量设置为允许，但仅限当前生效。具体配置如图8-3所示。</p>
        <div><img class="size-full wp-image-1555 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问http服务.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="871" height="632" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问http服务.png 871w, https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问http服务-300x218.png 300w" sizes="(max-width: 871px) 100vw, 871px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-3&nbsp; 放行请求http服务的流量</p>
        <p>尝试添加一条防火墙策略规则，使其放行访问8080～8088端口（TCP协议）的流量，并将其设置为永久生效，以达到系统重启后防火墙策略依然生效的目的。在按照图8-4所示的界面配置完毕之后，还需要在Options菜单中单击Reload Firewalld命令，让配置的防火墙策略立即生效（见图8-5）。这与在命令行中执行--reload参数的效果一样。</p>
        <p><img class="size-full wp-image-1554 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问8080-8088端口.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="871" height="633" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问8080-8088端口.png 871w, https://www.linuxprobe.com/wp-content/uploads/2015/03/允许其他主机访问8080-8088端口-300x218.png 300w" sizes="(max-width: 871px) 100vw, 871px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></p>
        <p style="text-align: center;">图8-4&nbsp; 放行访问8080～8088端口的流量</p>
        <div><img class="size-full wp-image-1556 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/重启后依然有效.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="871" height="632" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/重启后依然有效.png 871w, https://www.linuxprobe.com/wp-content/uploads/2015/03/重启后依然有效-300x218.png 300w" sizes="(max-width: 871px) 100vw, 871px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-5&nbsp; 让配置的防火墙策略规则立即生效</p>
        <p>前面在讲解firewall-config工具的功能时，曾经提到了SNAT（Source Network Address Translation，源网络地址转换）技术。SNAT是一种为了解决IP地址匮乏而设计的技术，它可以使得多个内网中的用户通过同一个外网IP接入Internet。该技术的应用非常广泛，甚至可以说我们每天都在使用，只不过没有察觉到罢了。比如，当我们通过家中的网关设备（比如无线路由器）访问本书配套站点<a href="https://www.linuxprobe.com/">www.linuxprobe.com</a>时，就用到了SNAT技术。</p>
        <p>大家可以看一下在网络中不使用SNAT技术（见图8-6）和使用SNAT技术（见图8-7）时的情况。在图8-6所示的局域网中有多台PC，如果网关服务器没有应用SNAT技术，则互联网中的网站服务器在收到PC的请求数据包，并回送响应数据包时，将无法在网络中找到这个私有网络的IP地址，所以PC也就收不到响应数据包了。在图8-7所示的局域网中，由于网关服务器应用了SNAT技术，所以互联网中的网站服务器会将响应数据包发给网关服务器，再由后者转发给局域网中的PC。</p>
        <div style="text-align: center;">
        <div><img class="alignnone wp-image-1339 size-full" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/未用SNAT1.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="863" height="336" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/未用SNAT1.png 863w, https://www.linuxprobe.com/wp-content/uploads/2015/03/未用SNAT1-300x117.png 300w" sizes="(max-width: 863px) 100vw, 863px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-6&nbsp; 没有使用SNAT技术的网络</p>
        <div><img class="alignnone wp-image-1338 size-full" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/使用SNAT1.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="864" height="315" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/使用SNAT1.png 864w, https://www.linuxprobe.com/wp-content/uploads/2015/03/使用SNAT1-300x109.png 300w" sizes="(max-width: 864px) 100vw, 864px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-7&nbsp; 使用SNAT技术处理过的网络</p>
        <p style="text-align: left;">使用iptables命令实现SNAT技术是一件很麻烦的事情，但是在firewall-config中却是小菜一碟了。用户只需按照图8-8进行配置，并选中Masquerade zone复选框，就自动开启了SNAT技术。</p>
        </div>
        <div><img class="size-full wp-image-1553 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/开启伪装功能.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="872" height="632" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/开启伪装功能.png 872w, https://www.linuxprobe.com/wp-content/uploads/2015/03/开启伪装功能-300x217.png 300w" sizes="(max-width: 872px) 100vw, 872px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-8&nbsp; 开启防火墙的SNAT技术</p>
        <p style="text-align: left;">为了让大家直观查看不同工具在实现相同功能的区别，这里使用firewall-config工具重新演示了前面使用firewall-cmd来配置防火墙策略规则，将本机888端口的流量转发到22端口，且要求当前和长期均有效，具体如图8-9和图8-10所示。</p>
        <div>
        <p><img class="size-full wp-image-1551 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/将向本机888端口的请求转发至本机的22端口.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="870" height="633" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/将向本机888端口的请求转发至本机的22端口.png 870w, https://www.linuxprobe.com/wp-content/uploads/2015/03/将向本机888端口的请求转发至本机的22端口-300x218.png 300w" sizes="(max-width: 870px) 100vw, 870px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></p>
        <p style="text-align: center;">图8-9&nbsp; 配置本地的端口转发</p>
        <p style="text-align: center;"><img class="size-full wp-image-49129 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/reload立即生效.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="872" height="633" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/reload立即生效.png 872w, https://www.linuxprobe.com/wp-content/uploads/2015/03/reload立即生效-300x218.png 300w, https://www.linuxprobe.com/wp-content/uploads/2015/03/reload立即生效-768x558.png 768w" sizes="(max-width: 872px) 100vw, 872px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></p>
        <p style="text-align: center;">图8-10&nbsp; 让防火墙效策略规则立即生效</p>
        <p>配置富规则，让192.168.10.20主机访问到本机的1234端口号，如图8-11所示。</p>
        <div><img class="size-full wp-image-1552 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/仅允许192.168.10.20主机访问本机的1234端口.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="871" height="633" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/仅允许192.168.10.20主机访问本机的1234端口.png 871w, https://www.linuxprobe.com/wp-content/uploads/2015/03/仅允许192.168.10.20主机访问本机的1234端口-300x218.png 300w" sizes="(max-width: 871px) 100vw, 871px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <p style="text-align: center;">图8-11 配置防火墙富规则策略</p>
        <p>如果生产环境中的服务器有多块网卡在同时提供服务（这种情况很常见），则对内网和对外网提供服务的网卡要选择的防火墙策略区域也是不一样的。也就是说，可以把网卡与防火墙策略区域进行绑定（见图8-12），这样就可以使用不同的防火墙区域策略，对源自不同网卡的流量进行针对性的监控，效果会更好。</p>
        <p>最后，刘遄老师想说的是，firewall-config工具真的非常实用，很多原本复杂的长命令被用图形化按钮替代，设置规则也简单明了，足以应对日常工作。所以再次向大家强调配置防火墙策略的原则—只要能实现所需的功能，用什么工具请随君便。</p>
        <div><img class="size-full wp-image-1549 aligncenter" src="https://www.linuxprobe.com/wp-content/uploads/2015/03/查看网卡设备信息.png" alt="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。" width="873" height="632" srcset="https://www.linuxprobe.com/wp-content/uploads/2015/03/查看网卡设备信息.png 873w, https://www.linuxprobe.com/wp-content/uploads/2015/03/查看网卡设备信息-300x217.png 300w" sizes="(max-width: 873px) 100vw, 873px" title="第8章 Iptables与Firewalld防火墙。第8章 Iptables与Firewalld防火墙。"></div>
        <div style="text-align: center;">
        <p>图8-12&nbsp; 把网卡与防火墙策略区域进行绑定</p>
        </div>
        <h5><span id="84"><span style="color: #008000;"><strong>8.4 服务的访问控制列表</strong></span></span></h5>
        <p>TCP Wrappers是RHEL 7系统中默认启用的一款流量监控程序，它能够根据来访主机的地址与本机的目标服务程序作出允许或拒绝的操作。换句话说，Linux系统中其实有两个层面的防火墙，第一种是前面讲到的基于TCP/IP协议的流量过滤工具，而TCP Wrappers服务则是能允许或禁止Linux系统提供服务的防火墙，从而在更高层面保护了Linux系统的安全运行。</p>
        <p>TCP Wrappers服务的防火墙策略由两个控制列表文件所控制，用户可以编辑允许控制列表文件来放行对服务的请求流量，也可以编辑拒绝控制列表文件来阻止对服务的请求流量。控制列表文件修改后会立即生效，系统将会先检查允许控制列表文件（/etc/hosts.allow），如果匹配到相应的允许策略则放行流量；如果没有匹配，则去进一步匹配拒绝控制列表文件（/etc/hosts.deny），若找到匹配项则拒绝该流量。如果这两个文件全都没有匹配到，则默认放行流量。</p>
        <p>TCP Wrappers服务的控制列表文件配置起来并不复杂，常用的参数如表8-4所示。</p>
        <p>表8-4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; TCP Wrappers服务的控制列表文件中常用的参数</p>
        <table id="tablepress-118" class="tablepress tablepress-id-118">
        <tbody class="row-hover">
        <tr class="row-1 odd">
        <td class="column-1">客户端类型</td>
        <td class="column-2">示例</td>
        <td class="column-3">满足示例的客户端列表</td>
        </tr>
        <tr class="row-2 even">
        <td class="column-1">单一主机</td>
        <td class="column-2">192.168.10.10</td>
        <td class="column-3">IP地址为192.168.10.10的主机</td>
        </tr>
        <tr class="row-3 odd">
        <td class="column-1">指定网段</td>
        <td class="column-2">192.168.10.</td>
        <td class="column-3">IP段为192.168.10.0/24的主机</td>
        </tr>
        <tr class="row-4 even">
        <td class="column-1">指定网段</td>
        <td class="column-2">192.168.10.0/255.255.255.0</td>
        <td class="column-3">IP段为192.168.10.0/24的主机</td>
        </tr>
        <tr class="row-5 odd">
        <td class="column-1">指定DNS后缀</td>
        <td class="column-2">.linuxprobe.com</td>
        <td class="column-3">所有DNS后缀为.linuxprobe.com的主机</td>
        </tr>
        <tr class="row-6 even">
        <td class="column-1">指定主机名称</td>
        <td class="column-2">www.linuxprobe.com</td>
        <td class="column-3">主机名称为www.linuxprobe.com的主机</td>
        </tr>
        <tr class="row-7 odd">
        <td class="column-1">指定所有客户端</td>
        <td class="column-2">ALL</td>
        <td class="column-3">所有主机全部包括在内</td>
        </tr>
        </tbody>
        </table>
        <p><!-- #tablepress-118 from cache --></p>
        <p>在配置TCP Wrappers服务时需要遵循两个原则：</p>
        <ol>
        <li>编写拒绝策略规则时，填写的是服务名称，而非协议名称；</li>
        <li>建议先编写拒绝策略规则，再编写允许策略规则，以便直观地看到相应的效果。</li>
        </ol>
        <p>下面编写拒绝策略规则文件，禁止访问本机sshd服务的所有流量（无须/etc/hosts.deny文件中修改原有的注释信息）：</p>
        <pre>[root@linuxprobe ~]# vim /etc/hosts.deny
        #
        # hosts.deny This file contains access rules which are used to
        # deny connections to network services that either use
        # the tcp_wrappers library or that have been
        # started through a tcp_wrappers-enabled xinetd.
        #
        # The rules in this file can also be set up in
        # /etc/hosts.allow with a 'deny' option instead.
        #
        # See 'man 5 hosts_options' and 'man 5 hosts_access'
        # for information on rule syntax.
        # See 'man tcpd' for information on tcp_wrappers
        <strong>sshd:*
        </strong>[root@linuxprobe ~]# ssh 192.168.10.10
        ssh_exchange_identification: read: Connection reset by peer
        </pre>
        <p>接下来，在允许策略规则文件中添加一条规则，使其放行源自192.168.10.0/24网段，访问本机sshd服务的所有流量。可以看到，服务器立刻就放行了访问sshd服务的流量，效果非常直观：</p>
        <pre>[root@linuxprobe ~]# vim /etc/hosts.allow
        #
        # hosts.allow This file contains access rules which are used to
        # allow or deny connections to network services that
        # either use the tcp_wrappers library or that have been
        # started through a tcp_wrappers-enabled xinetd.
        #
        # See 'man 5 hosts_options' and 'man 5 hosts_access'
        # for information on rule syntax.
        # See 'man tcpd' for information on tcp_wrappers
        <strong>sshd:192.168.10.
        
        </strong>[root@linuxprobe ~]# ssh 192.168.10.10
        The authenticity of host '192.168.10.10 (192.168.10.10)' can't be established.
        ECDSA key fingerprint is 70:3b:5d:37:96:7b:2e:a5:28:0d:7e:dc:47:6a:fe:5c.
        Are you sure you want to continue connecting (yes/no)? yes
        Warning: Permanently added '192.168.10.10' (ECDSA) to the list of known hosts.
        root@192.168.10.10's password: 
        Last login: Wed May 4 07:56:29 2017
        [root@linuxprobe&nbsp;~]# 
        </pre>
        <p><span style="color: #800080;"><strong>出现问题?大胆提问!</strong></span></p>
        <blockquote><p>因读者们硬件不同或操作错误都可能导致实验配置出错，请耐心再仔细看看操作步骤吧，不要气馁~</p>
        <p>Linux技术交流请加A群：560843(<strong><span style="color: #008000;">满</span></strong>)，B群：340829(<span style="color: #008000;">推荐</span>)，C群：463590（<strong><span style="color: #008000;">推荐</span></strong>），<a href="https://www.linuxprobe.com/club">点此查看全国群</a>。</p>
        <p>*本群特色：通过口令验证确保每一个群员都是《Linux就该这么学》的读者，答疑更有针对性，不定期免费领取定制礼品。</p></blockquote>
        <div style="text-align: center;"><span style="color: #800080;"><strong><span style="color: #008000;">本章节的复习作业</span>(答案就在问题的下一行哦，用鼠标选中即可看到的~)</strong></span></div>
        </div>
        <p>&nbsp;</p>
        <p>1．在RHEL 7系统中，iptables是否已经被firewalld服务彻底取代？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">没有，iptables和firewalld服务均可用于RHEL 7系统。</span></p>
        <p>2．请简述防火墙策略规则中DROP和REJECT的不同之处。</p>
        <p><strong>答：</strong><span style="color: #ffffff;">DROP的动作是丢包，不响应；REJECT是拒绝请求，同时向发送方回送拒绝信息。</span></p>
        <p>3．如何把iptables服务的INPUT规则链默认策略设置为DROP？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">执行命令iptables -P INPUT DROP即可。</span></p>
        <p>4．怎样编写一条防火墙策略规则，使得iptables服务可以禁止源自192.168.10.0/24网段的流量访问本机的sshd服务（22端口）？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">执行命令iptables -I INPUT -s 192.168.10.0/24 -p tcp --dport 22 -j REJECT即可。</span></p>
        <p>5．请简述firewalld中区域的作用。</p>
        <p><strong>答：</strong><span style="color: #ffffff;">可以依据不同的工作场景来调用不同的firewalld区域，实现大量防火墙策略规则的快速切换。</span></p>
        <p>6．如何在firewalld中把默认的区域设置为dmz？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">执行命令firewall-cmd --set-default-zone=dmz即可。</span></p>
        <p>7．如何让firewalld中以永久（Permanent）模式配置的防火墙策略规则立即生效？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">执行命令firewall-cmd --reload。</span></p>
        <p>8．使用SNAT技术的目的是什么？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">SNAT是一种为了解决IP地址匮乏而设计的技术，它可以使得多个内网中的用户通过同一个外网IP接入Internet（互联网）。</span></p>
        <p>9．&nbsp;TCP Wrappers服务分别有允许策略配置文件和拒绝策略配置文件，请问匹配顺序是怎么样的？</p>
        <p><strong>答：</strong><span style="color: #ffffff;">TCP Wrappers会先依次匹配允许策略配置文件，然后再依次匹配拒绝策略配置文件，如果都没有匹配到，则默认放行流量。</span></p>
        <p style="text-align: left; color: #88a6a4;">本文原创地址：<a href="https://www.linuxprobe.com/chapter-08.html" target="_blank">https://www.linuxprobe.com/chapter-08.html</a><span style="float: right;">编辑：刘遄，审核员：暂无</span></p>
        <p><!-- --><!-- Page reform for Baidu by 爱上极客熊掌号 (i3geek.com) --></p>
            <div class="u-post-share-wrap">
                <div class="u-left-group">
                        </div>
                <div class="u-middle-group">
                    <a href="#" class="u-network qzone style-plain" rel="nofollow">
                    <div class="u-icon-wrap">
                    <i class="u-iconfont u-icon-qzone"></i>
                </div>
                        <div class="u-label">分享到QQ空间</div>
                </a>
            <a href="https://app.yinxiang.com/clip.action?url=https://www.linuxprobe.com/chapter-08.html" class="u-network evernote style-plain" target="_blank" rel="nofollow">
                    <div class="u-icon-wrap">
                    <i class="u-iconfont u-icon-evernote"></i>
                </div>
                        <div class="u-label">保存至印象笔记</div>
                </a>
            <a href="#" class="u-network weibo style-plain" rel="nofollow">
                    <div class="u-icon-wrap">
                    <i class="u-iconfont u-icon-weibo"></i>
                </div>
                        <div class="u-label">分享到微博</div>
                </a>
            <a href="javascript:;" class="u-network weixin pop style-flat" rel="nofollow">
                    <div class="u-icon-wrap">
                    <i class="u-iconfont u-icon-weixin"></i>
                </div>
                        <div class="u-label">分享到微信</div>
                <div class="u-pophint">
                <div class="u-qrcode" data-url="https://www.linuxprobe.com/chapter-08.html"><canvas width="150" height="150"></canvas></div>
                <p>打开微信“扫一扫”，打开网页后点击屏幕右上角分享按钮</p>
            </div>
            </a>
                </div>
                <div class="u-right-group">
                        </div>
            </div>
        <div id="dxseo-related-posts" style="clear:both;"><h3 style="margin:20px 0 10px;padding:0;font-weight:bold;font-size:14px;">为您推荐一些与本文相关的文章：</h3><ul class="dxseo-rl-items"><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/linux-install-python.html" target="_blank" title="Linux下如何安装多个Python版本">Linux下如何安装多个Python版本</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/test-command.html" target="_blank" title="详解命令-test">详解命令-test</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/linux-shell-tools.html" target="_blank" title="几个增加 linux shell 脚本趣味的工具">几个增加 linux shell 脚本趣味的工具</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/unix-program-arc.html" target="_blank" title="《UNIX 编程艺术》pdf电子书免费下载">《UNIX 编程艺术》pdf电子书免费下载</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/firewall-future.html" target="_blank" title="防火墙未来的发展趋势在哪里？">防火墙未来的发展趋势在哪里？</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/libreoffice-coming.html" target="_blank" title="LibreOffice 5.3即将发布!">LibreOffice 5.3即将发布!</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/shanghai-chance.html" target="_blank" title="比起互联网机遇，上海错失的另一样东西更为可怕">比起互联网机遇，上海错失的另一样东西更为可怕</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/scrapy-python-3.html" target="_blank" title="网络爬虫框架 Scrapy 入门教程">网络爬虫框架 Scrapy 入门教程</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/devops-3.html" target="_blank" title="做运维的看看你是背锅侠还是闪修侠">做运维的看看你是背锅侠还是闪修侠</a></li><li style="list-style-type: disc;" class="dxseo-rl-item"><a href="https://www.linuxprobe.com/10nm-intel-amd.html" target="_blank" title="不只是10nm延期 Intel或永远追不上AMD了">不只是10nm延期 Intel或永远追不上AMD了</a></li></ul></div></div>
                <!-- 分页 -->
        <div class="related-head-inner">
             <div class="cat-head-title"> 
                  <i class="fa fa-share"></i>相关文章[<a href="https://www.linuxprobe.com/tougao" target="_blank">点此投稿</a>]
             </div>
             <div id="related-slider" class="flexslider">
                  
            <div class="flex-viewport" style="overflow: hidden; position: relative;"><ul class="slides" style="width: 1400%; transition-duration: 1.2s; transform: translate3d(-1424px, 0px, 0px);"><li class="clone" aria-hidden="true" style="width: 712px; float: left; display: block;">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-04.html" rel="bookmark" title="第4章 Vim编辑器与Shell命令脚本。"><img data-img="1498" src="https://www.linuxprobe.com/wp-content/uploads/2015/07/第4章.jpg" alt="第4章 Vim编辑器与Shell命令脚本。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-04.html" rel="bookmark" title="第4章 Vim编辑器与Shell命令脚本。">第4章 Vim编辑器与Shell命令脚本。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-07-16</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-04.html#SOHUCS">65 个评论</a></span>
                               </div>
                            </li>
                                                                    <li style="width: 712px; float: left; display: block;" class="">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-19.html" rel="bookmark" title="第19章 使用PXE+Kickstart无人值守安装服务。"><img data-img="2508" src="https://www.linuxprobe.com/wp-content/uploads/2015/10/第19章.jpg" alt="第19章 使用PXE+Kickstart无人值守安装服务。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-19.html" rel="bookmark" title="第19章 使用PXE+Kickstart无人值守安装服务。">第19章 使用PXE+Kickstart无人值守安装服务。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-10-07</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-19.html#SOHUCS">14 个评论</a></span>
                               </div>
                            </li>
                                                <li style="width: 712px; float: left; display: block;" class="flex-active-slide">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-03.html" rel="bookmark" title="第3章 管道符、重定向与环境变量。"><img data-img="2029" src="https://www.linuxprobe.com/wp-content/themes/zanblog2_1_0/images/no-image.png" alt="第3章 管道符、重定向与环境变量。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-03.html" rel="bookmark" title="第3章 管道符、重定向与环境变量。">第3章 管道符、重定向与环境变量。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-09-05</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-03.html#SOHUCS">31 个评论</a></span>
                               </div>
                            </li>
                                                <li style="width: 712px; float: left; display: block;" class="">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-10.html" rel="bookmark" title="第10章 使用Apache服务部署静态网站。"><img data-img="1065" src="https://www.linuxprobe.com/wp-content/uploads/2015/09/第10章-使用Apache服务部署静态网站。.jpg" alt="第10章 使用Apache服务部署静态网站。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-10.html" rel="bookmark" title="第10章 使用Apache服务部署静态网站。">第10章 使用Apache服务部署静态网站。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-05-12</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-10.html#SOHUCS">17 个评论</a></span>
                               </div>
                            </li>
                                                <li style="width: 712px; float: left; display: block;" class="">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-00.html" rel="bookmark" title="第0章 咱们先来谈谈学习方法和红帽系统。"><img data-img="31" src="https://www.linuxprobe.com/wp-content/uploads/2016/03/第0章.jpg" alt="第0章 咱们先来谈谈学习方法和红帽系统。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-00.html" rel="bookmark" title="第0章 咱们先来谈谈学习方法和红帽系统。">第0章 咱们先来谈谈学习方法和红帽系统。</a> 
                                   <span><i class="fa fa-clock-o"></i>2016-03-09</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-00.html#SOHUCS">26 个评论</a></span>
                               </div>
                            </li>
                                                <li style="width: 712px; float: left; display: block;" class="">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-04.html" rel="bookmark" title="第4章 Vim编辑器与Shell命令脚本。"><img data-img="1498" src="https://www.linuxprobe.com/wp-content/uploads/2015/07/第4章.jpg" alt="第4章 Vim编辑器与Shell命令脚本。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-04.html" rel="bookmark" title="第4章 Vim编辑器与Shell命令脚本。">第4章 Vim编辑器与Shell命令脚本。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-07-16</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-04.html#SOHUCS">65 个评论</a></span>
                               </div>
                            </li>
                                                                            <li style="width: 712px; float: left; display: block;" class="clone" aria-hidden="true">
                               <div class="related-thumb">
                                   <a href="https://www.linuxprobe.com/chapter-19.html" rel="bookmark" title="第19章 使用PXE+Kickstart无人值守安装服务。"><img data-img="2508" src="https://www.linuxprobe.com/wp-content/uploads/2015/10/第19章.jpg" alt="第19章 使用PXE+Kickstart无人值守安装服务。" draggable="false"></a>
                               </div>
                               <div class="related-head">
                                   <a href="https://www.linuxprobe.com/chapter-19.html" rel="bookmark" title="第19章 使用PXE+Kickstart无人值守安装服务。">第19章 使用PXE+Kickstart无人值守安装服务。</a> 
                                   <span><i class="fa fa-clock-o"></i>2015-10-07</span>
                                   <span><i class="fa fa-comments"></i><a href="https://www.linuxprobe.com/chapter-19.html#SOHUCS">14 个评论</a></span>
                               </div>
                            </li></ul></div><ul class="flex-direction-nav"><li><a class="flex-prev" href="#">Previous</a></li><li><a class="flex-next" href="#">Next</a></li></ul></div>
        </div>	
        
                <!-- 文章版权信息 -->
                <div class="copyright alert alert-success">
                    <p>
        转载必需保留本文链接:
                        <a href="https://www.linuxprobe.com/chapter-08.html" title="第8章 Iptables与Firewalld防火墙。">https://www.linuxprobe.com/chapter-08.html</a><br></p>
        <p>本文依据<u>CC-BY-NC-SA 3.0协议</u>发布,竭诚为读者提供Linux视频教程、Linux学习资料以及红帽考试资料等优质学习资源。<br>
                    </p>
                </div>
                <!-- 文章版权信息结束 -->
        <script type="text/javascript">
            jQuery(document).ready(function(){
                var title = jQuery('.title-article h1 a').text();
                jQuery('.post-content img').attr('alt',title);
                jQuery('.post-content img').attr('title',title);
            })
        </script>        
            </div>				
        </article>
    </body>
</html>